security - Callgraph 如何检测恶意代码？

Question

在 Wikipedia 中，我发现调用图可以明显地检测到恶意代码。有人可以解释这到底是如何工作的吗？在 Wikipedia 中只写了以下内容：“调用图也可用于检测程序执行异常或代码注入攻击”。非常感谢！

标签： securitycall-graph

Answer 1

这是关于模式检测的。

例如，如果您知道其中一种代码注入模式中使用的VirtualAllocExWindows WriteProcessMemoryAPICreateRemoteThread是以该模式的正确顺序。

然后，您可以生成调用图签名来检测可能是变形的、打包的或以其他方式变异的恶意代码，因此不易受到常规签名匹配的影响，因为变异调用图要困难得多。（例如，请参见此处）